Mashtrimet në Microsoft Teams çojnë nga bisedat e rreme të IT-së te ransomware
Mashtrimet në Microsoft Teams po përdorin biseda të jashtme, identitete të rreme të mbështetjes IT dhe software legjitim remote access për të kaluar nga social engineering te malware dhe, në disa raste, te ransomware. Arctic Wolf Labs thotë se e ka identifikuar këtë model të përsëritur në qindra raste të hetuara, ku sulmuesit kanë përdorur vazhdimisht disa prej të njëjtave mjedise të përkohshme Microsoft 365 tenant, emra të shfaqur me tematikë mbështetjeje, mjete remote access dhe domain të payload.
Mesazhet vijnë nga identitete të krijuara përmes mjediseve të reja ose të blera Microsoft 365 tenant, të cilat janë mjedise të veçanta cloud të ngritura për organizata. Sulmuesit zgjedhin emra si Help Desk, IT Support, HelpDesk Manager, HelpDesk Supervisor, Maintenance Service dhe IT/Help Desk. Identitete të tjera të vërejtura përfshinin Enterprise IT & Security (Internal), IT Tech Support Internal dhe llogari IT Service Desk të shoqëruara me emra miqësorë personash. Arctic Wolf thotë se përpjekjet e fundit kanë vendosur gjithashtu emrin ose domain e kompanisë së objektivit në emrin e shfaqur. Këto zgjedhje synojnë ta bëjnë llogarinë të duket e brendshme, pavarësisht paralajmërimit që Teams shfaq për një përdorues të jashtëm.
Rreth 30 deri në 40 për qind e rasteve të hetuara nga Arctic Wolf përdorën një adresë nën *.onmicrosoft[.]com. Microsoft e krijon automatikisht këtë domain të përhershëm rezervë kur krijohet një Microsoft 365 tenant. Sulmuesit zgjodhën emra tenant të lidhur me mbështetjen, si helpdeskteam365.onmicrosoft[.]com, itendpoint365.onmicrosoft[.]com, itcoreportal.onmicrosoft[.]com, itadmin922.onmicrosoft[.]com dhe corporateitservicellc.onmicrosoft[.]com, për t'i bërë identitetet të ngjanin me infrastrukturën IT të një kompanie.
Shumë incidente filluan me email bombing, ku qindra regjistrime në buletine ose konfirmime abonimesh mbërritën në kutinë hyrëse të viktimës brenda një kohe të shkurtër. Më pas, në Teams u shfaq një mesazh mashtrues mbështetjeje që ofronte zgjidhjen e problemit të dukshëm. Vëllimi i postës elektronike krijon urgjencë dhe i jep personit që shtiret një shpjegim të përshtatshëm për kontaktimin. Prandaj, për punonjësit dhe operatorët e faqeve web, një bisedë e papritur mbështetjeje menjëherë pas përmbytjes së kutisë hyrëse duhet trajtuar si pjesë e të njëjtit sulm të mundshëm dhe jo si një ofertë e pavarur ndihme.
Arctic Wolf zbuloi gjithashtu një zhvendosje drejt top-level domains me pagesë, ose TLDs, që janë prapashtesat e përdorura nga domain në internet. Nga domain me pagesë që identifikoi në këto mashtrime gjatë disa muajve pararendës, rreth 50 për qind e identiteteve të rreme përdorën .top, afërsisht 40 për qind përdorën .com dhe pak më shumë se pesë për qind përdorën prapashtesa me disa nivele, duke përfshirë .com.pl, .com.vn dhe .com.br. Aktiviteti përputhet me grupin e gjurmuar si STAC4749, i cili më parë ka krijuar domain cloud me tematikë IT nën .top dhe ka përdorur emra të besueshëm punonjësish. Sophos i ka lidhur sulmet e shoqëruara me këtë aktivitet me shpërndarjen e Chaos ransomware, malware që i bën të dhënat të padisponueshme dhe kërkon pagesë.
Fushatat synojnë organizata që lejojnë akses të jashtëm në Teams. Sulmuesit shtojnë vishing, që do të thotë përdorimi i thirrjeve zanore për të mashtruar dikë, dhe i bindin viktimat të japin kontroll interaktiv përmes software legjitim remote monitoring and management (RMM). Mjetet e vërejtura në këto raste përfshijnë Quick Assist, AnyDesk, ScreenConnect (ConnectWise), TeamViewer, Atera, Zoho Assist, NetSupport dhe LogMeIn. Meqë këto janë produkte reale administrimi, vetëm prania e tyre nuk provon aktivitet keqdashës. Rreziku lind kur një telefonues ose kontakt bisede i paverifikuar e bind përdoruesin të nisë një sesion dhe të dorëzojë kontrollin.
Pasi lidhen, sulmuesit e kanë përdorur këtë akses për të inspektuar mjedisin, për të instaluar backdoor GoGRPC, për të lëvizur ndërmjet sistemeve dhe për të arritur te domain controllers, të cilët menaxhojnë identitetet dhe aksesin në një rrjet Windows. Ata kanë instaluar gjithashtu një mjet tjetër RMM të quajtur Level për të ruajtur një rrugë të dytë hyrjeje në mjedis. Arctic Wolf thotë se kjo sekuencë mund të përparojë deri te vjedhja e informacioneve të ndjeshme dhe ekzekutimi i ransomware. Studiuesit regjistruan gjithashtu një nëngrup rastesh ku sulmuesit përdorën shënimet e Microsoft-it.
Në vend që të postonin një adresë keqdashëse drejtpërdrejt në Teams, sulmuesit zakonisht shkonin vetë te payload pasi fitonin remote control. Arctic Wolf thotë se kjo shmang vendosjen e adresës aty ku kontrollet Safe Links dhe ZAP të Microsoft-it për skanimin e mesazheve do ta shqyrtonin. Kjo sjellje do të thotë se filtrimi i mesazheve nuk mund të japë pamjen e plotë. Organizatat duhet të shqyrtojnë gjithashtu aktivitetin e endpoint, domethënë ngjarjet në kompjuterët e përdoruesve, si dhe aktivitetin e identitetit të lidhur me llogaritë dhe përpjekjet për akses.
Në një rast, një sulmues i tha viktimës të ekzekutonte një komandë PowerShell, duke përdorur mjetin e Microsoft-it për komanda dhe automatizim, për të marrë dhe hapur një file. Komanda shkarkoi një MSI installer, një paketë instalimi software për Windows, nga Microsoft Azure Blob Storage. Ekzekutimi i tij nisi një script PowerShell që nxori dhe ekzekutoi një implant Python të integruar. Më pas, ai backdoor nisi një transaksion tjetër MSI dhe kreu kërkime Lightweight Directory Access Protocol (LDAP) kundër Active Directory, duke mbledhur çdo object kompjuteri dhe përdoruesi përpara se t'ia dërgonte informacionin një serveri të jashtëm.
Incidentet shfrytëzojnë besimin dhe jo një dobësi të software, ndaj instalimi i një patch nuk e mbyll rrugën fillestare. Bizneset duhet t'i verifikojnë kontaktet e papritura të mbështetjes përmes një numri telefoni të njohur më parë ose një kanali të brendshëm, ta kufizojnë aksesin e jashtëm në Teams kur nuk është i nevojshëm dhe të kontrollojnë rreptësisht se kush mund të nisë sesione remote support. Për organizatat që vlerësojnë këtë ekspozim, AEU-I ofron IT, infrastrukturë dhe konsulencë me sigurinë si përparësi. Paralajmërimi kryesor për pronarët e faqeve dhe ekipet IT është se një bisedë mbështetjeje që duket rutinë mund të kthehet në një rrugë drejt zbulimit të llogarive, vjedhjes së të dhënave dhe ransomware sapo të jepet remote access.